Cornerstone OnDemandは中国本土で使えるか：従業員データの国内保存、ICP、越境ルール

Cornerstone OnDemandの公式ドキュメントが中国について述べていること

事実	一次情報源
Cornerstone自身のホスティングドキュメントによれば、顧客は「単一のホスティング拠点を選択しなければならない」とされ、「顧客の物理データは選択された拠点にホストされ続ける」とされています。その学習・タレント製品——Cornerstone、Cornerstone Xplor、Saba Cloud——に提供される拠点はEU・英国・北米・オーストラリアにあります。いずれも中国本土にはなく、セルフホストするサーバーでもありません。	Cornerstone — Hosting and Subprocessors（ホスティング拠点）、2026-10-14 取得
Cornerstone自身のクライアントプライバシーポリシーは、「貴社のデータは、米国およびその他の国において、またそこへ処理・移転されうる」とし、「すべての拠点は、十分性認定または代替の適切なセーフガードのいずれかの恩恵を受ける」として、越境処理をEU・米国、英国、スイス・米国のデータプライバシーフレームワークに依拠させています。これらはGDPR世界の枠組みであり——そのいずれも、本土の外へ個人情報を輸出するために中国が認めるメカニズムではありません。	Cornerstone — Client Portal Privacy Policy（International Transfers；Data Privacy Framework）、2026-10-14 取得
中国のスタッフから個人情報を収集し、それをオフショアのCornerstoneに保持することは、個人情報保護法の下での越境移転です。取扱者——Cornerstoneではなく雇用主——は、通知を行い、個別の同意を取得し、移転メカニズム一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません（PIPL第38〜40条）。人事管理の根拠（第13条第2項）は取扱いを認めますが、越境ルールを無効にはしません。	PIPL第13条、第38〜40条 — 21YunBox gov-doc リファレンス、2026-10-14 取得
報酬、政府発行のID、そしてあらゆる健康・生体のオンボーディングデータは、センシティブ個人情報であり、特定の目的、個別の同意、そして事前の影響評価を要します（PIPL第28〜30条、第55条）。そして重要情報インフラ運営者（CIIO）または大量取扱者の場合、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法第39条（旧第37条）（英語））——システム・オブ・レコードについて中国本土のリージョンを持たないクラウドでは満たせない義務です。国内保存を合法に立ち上げることは、ICP備案を視野に入れます。	PIPL第28〜30条、第40条、第55条；サイバーセキュリティ法第39条（旧第37条） — 21YunBox gov-doc リファレンス、2026-10-14 取得

情報源は21YunBox コンプライアンスチームが2026年10月14日に確認しました。

中国本土に人員を持つ企業にとって、Cornerstone OnDemandに関する問いは、その画面がどれだけ速く読み込まれるかではなく、そもそもこのサービスがそれらの人々の記録を合法に保持してよいか、です。Cornerstoneはクラウドの学習・タレント・HCMプラットフォームです。貴社の従業員のシステム・オブ・レコードであり、従業員プロフィール、人事評価、学習・認定履歴、後継者計画・スキルのデータ、そしてときにはオンボーディングで収集する政府発行の識別子を保持します。貴社の中国の従業員がそこに登録されると、それらすべてが、ホスティング拠点がオフショアであるCornerstoneのインスタンスに集められます。したがって中国の従業員に関する判断は、到達性でも速度でもありません。データの国内保存です——それらの従業員記録がどこに落ち着くか、そしてそもそも国を離れることが認められていたか、です。

中国でのCornerstone：ひと目で

到達できる画面、しかし従業員記録のオフショアの置き場所

Cornerstoneのポータルは本土から開けます——しかしそれは、中国の従業員のためにこのプラットフォームを使ってよいかについて何も語りません。Cornerstoneはホスト型のマルチテナントクラウドであり、自社のホスティングページは地理について明確です。顧客は最初に単一のホスティング拠点を選択し、物理データはその選択された拠点に留まり、学習・タレント製品に提供される拠点はEU・英国・北米・オーストラリアにあります。そのいずれもオフショアであり、中国本土にはありません。したがって、それが変わるまでは、Cornerstoneに登録された中国の従業員は、そのシステム・オブ・レコードのデータがオフショアのインスタンスに保持されます。

本土内からオフショアのサービスへの越境アクセスは不安定になることがあり、ネットワーク上の間に合わせの手段で押し通したくなります。21YunBoxはそのような不正な手段を使用も推奨もしません——それはコンプライアンス上のリスクであり、かつ論点を外れています。同じ理由で、本ページはCornerstoneについて一次の中国レイテンシの数値を公表しません。速度は、データの国内保存に依拠する判断の軸ではないからです。生産的な問いは、従業員データがどこに落ち着くか、そしてそこに存在する合法的な根拠があったか、です。

オフショアのCornerstoneにある中国の従業員データは、PIPLの下での越境移転

ここが、多くのチームが見落とす関門です。中国本土のスタッフから個人情報を収集し、それを国外にホストされたCornerstoneのインスタンスに保持することは、個人情報保護法（PIPL）の下での個人情報の越境移転（数据出境）です。PIPLは義務を個人情報取扱者——処理者であるCornerstoneではなく、雇用主——に課します。第38〜40条は、通知、移転メカニズム一つ（CACの安全評価、CAC標準契約、または認証）、そして同意を根拠とする場合は海外移転についての個別の同意を求めます。

従業員データは、その同意を厄介にします。PIPLは、合法的に採択された労働方針または集団契約の下で人事管理に必要な場合に、雇用主がスタッフの個人情報を取り扱うことを認めています（PIPL第13条第2項）ので、日常的な人事の取扱いが常に同意に依拠する必要はありません。しかしその根拠は取扱いを規律するものであり、越境ルールを無効にするものではありません。それらの記録をオフショアのCornerstoneへ輸出することは、それ自体で移転制度を発動させる別個の行為です——通知、合法的な根拠、そして移転メカニズムは依然として適用され、個別の同意を従業員が雇用主に自由に与えられることはまれです。

そして、Cornerstoneの欧州の資格を中国の答えと取り違えてはいけません。そのクライアントプライバシーポリシーは、越境処理をEU・米国データプライバシーフレームワーク、その英国拡張、スイス・米国DPF、EUの十分性認定、そして「適切なセーフガード」に依拠させています。そのいずれもGDPR世界の枠組みです。そのいずれも、本土の外へ個人情報を輸出するために中国が認めるメカニズムではありません——中国は、本土のデータ輸出の根拠として、DPFやEU標準契約条項を受け入れません。「すでに認証を保有している」ことは、中国の問いに対する欧州の答えです。

学習・評価・IDのデータはセンシティブ——より高い基準

Cornerstoneのリスクは、その記録が持つもののために、通常のアプリケーションよりも鋭くなります。報酬・福利厚生の数値、オンボーディングで収集する政府発行の識別子、そしてオンボーディングやコンプライアンス研修のワークフローに入るあらゆる健康・生体データは、PIPL（第28〜30条）の下でのセンシティブ個人情報であり、センシティブ個人情報の取扱いには、特定の目的、個別の同意、そして個人情報保護影響評価が求められます（第55条）。センシティブな従業員データを量のしきい値を超えて国境を越えて移すことは、さらに、何かが出ていく前に中国のデータ越境安全評価（英語）（数据出境安全评估）を発動させることがあります。これらのいずれも、画面がどれだけ速く描画されるかに依拠しません。データが国外にある合法的な根拠があったかに依拠します。従業員データはその性質上センシティブであるため、ここの各行を、依拠する前に専門家と整理すべきリスクとして扱ってください。

「中国リージョンに切り替える」がメニューにない理由——そしてTalentLinkの例外

多くのエンタープライズツールでは、テナントをより近いリージョンに切り替えて、ローカライズしたと呼びたくなります。Cornerstoneのシステム・オブ・レコードには、そのようなレバーはありません。その学習・タレント製品——Cornerstone、Cornerstone Xplor、Saba Cloud——はEU・英国・北米・オーストラリアでのみホスティングを提供するため、中国の従業員データを向ける先となる中国本土のリージョンはなく、米国からEUへ、あるいはオーストラリアへのフェイルオーバーは、中国の国境を越えて何も再配置しません。

答えを変えないからこそ、一つの率直な例外を挙げる価値があります。Cornerstoneのホスティングページは、単一の製品——TalentLink、以前の買収に由来するレガシーの採用（応募者追跡）ツール——を、Amazon Web Servicesの「China」ホスティングオプションとともに挙げています。それは本ページが扱うHCM・学習のシステム・オブ・レコードではなく、たとえそのようなリージョンが存在しても、インフラはコンプライアンスではありません。中国のホスティングのフットプリントだけでは、ICP備案、データ国内保存の分析、個別の同意とセンシティブデータの義務、あるいは本土で従業員データを運用することに付随する等級保護（等保）の義務を、果たしません。したがって、一つの周辺的な製品について一つのオフショアベンダーのAWS Chinaオプションがあることは、貴社のCornerstoneの従業員記録を中国で法令適合に保つ経路ではありません。

したがって、中国で収集した従業員データを国内に留めることは、別の形の作業を意味します。留めなければならない記録のために本土内の置き場所を立ち上げ、合法的に出せるものだけをCornerstoneに送ることです。その切り分け——何を留め、何を出せるか——は、技術的な問いである前に法的な問いであり、仕事の核心です。配信の側面も重要です。システムの中国向けのあらゆる接点——セルフサービスの学習・プロフィールポータル、本土の人々に実際に提供されるオンボーディングページ——は、そこでの公開サービスであるため、ICP備案（备案）の義務を負い、本土のホスティングリソースに紐づく、法令に沿った国内配信を必要とします。「すでにタレントと学習のためにCornerstoneを運用している」ことは、それだけでは中国へ持ち込めません。

合法的な道筋——マッピング、ローカライズ、配信

中国本土を含む従業員のために学習とタレントを運用する合法的な方法があり、それには形があります。まずマッピング：当社の中国チームが、貴社のPIPL上のリスクを洗い出します——中国で収集した従業員記録のうち国内に留めるべきもの、合法的に出せるもの、データ越境安全評価や第39条（旧第37条）の保存義務が効いてくる箇所、そして通知・同意・影響評価のフローが何をカバーすべきか、です。法的な結論は専門家と確定し、当社はそれに供給する技術的な全体像を構築します。

次にローカライズ：中国国内に留めなければならない中国法人の従業員記録——あらゆるセンシティブな学習・ID・生体データを含む——のために、本土内の、同意に基づく足場を立ち上げて統合します。その間、その他の従業員のシステムとしてはCornerstoneを使い続け、合法的に国境を越えられるものだけをそれに送ります。

次に配信：中国向けのあらゆる接点——従業員の学習・プロフィールポータル、本土の人々に提供されるオンボーディングページ——は、ICP備案の義務を負い、法令に沿った国内配信を必要とします。21YunBox Optimizerが、すでに運用中のものの前段でそれを国内から配信します——再構築もリプラットフォームも不要です。その結果は、中国の人々のために合法かつ法令に沿って動く学習・タレントの構成です。当社が決して行わないこと——そして誰も合法的にはなし得ないこと——は、中国のデータ越境規則やネットワーク上の制限を不正な手段で逃れる方法を提供することです。当社は、留めるべきものをローカライズし、国内から配信します。個人情報をひそかに中国の外へ移すことは決してありません。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• PIPLの下での越境データ移転
• 中国個人情報保護法（PIPL）（英語）
• 中国のデータ越境安全評価（英語）
• 中国サイバーセキュリティ法（データの国内保存、第39条）（英語）
• 中国のICP備案の取得方法

よくあるご質問

Cornerstoneは中国の従業員のデータを中国に保存しますか？

HCM・学習のシステム・オブ・レコードについては、いいえ。Cornerstone自身のホスティングページによれば、その学習・タレント製品——Cornerstone、Cornerstone Xplor、Saba Cloud——はEU・英国・北米・オーストラリアでのみホスティングを提供し、中国本土にはなく、データは貴社が選択する単一の拠点に留まります。レガシーの採用製品であるTalentLinkはAWS Chinaのオプションを挙げていますが、それは周辺的な応募者追跡ツールであって、従業員のシステム・オブ・レコードではありません——そして中国リージョンだけでは、何も法令適合にはしません。

CornerstoneのEU・米国DPFやSCCは、当社の中国の従業員データを移すのに十分ではないのですか？

いいえ。Cornerstoneのプライバシーポリシーは、その越境処理をEU・米国、英国、スイス・米国のデータプライバシーフレームワーク、十分性認定、そして「適切なセーフガード」に依拠させています——すべてGDPR世界の枠組みです。中国は、本土の個人情報を輸出する根拠として、データプライバシーフレームワークやEU標準契約条項を受け入れません。法が求めるのは、PIPLのメカニズム（CACの安全評価、CAC標準契約、または認証）に加えて、通知と個別の同意です。専門家に確認すべきリスクとして扱ってください。

21YunBoxは当社のCornerstone構成を中国で法令適合にできますか？

はい。当社の中国チームは、貴社の法人と人員数について越境・国内保存・センシティブデータのリスクを整理し、中国国内に留めなければならない従業員記録——あらゆるセンシティブな学習・ID・生体データを含む——のために本土内の、同意に基づく足場を立ち上げ、中国向けのあらゆる従業員接点をICP備案済みのインフラ上で国内から配信します。再構築は不要です。その他の従業員にはCornerstoneを使い続け、合法的に出せるものだけをそれに送ります。個別のケースを一緒に整理するにはお問い合わせください。